ISO 27001 in der Logistik: Sicherheit, die den Warenfluss schützt

Die Logistik ist nach Automobilindustrie und Handel der drittgrößte Wirtschaftsbereich Deutschlands. Der Markt hatte 2023 ein Volumen von 327 Milliarden Euro und beschäftigte rund 3,3 Millionen Menschen. Diese Branche transportiert nicht nur Güter, sie transportiert Daten: Auftrags-, Zoll-, Tarif- und Kundendaten laufen durch Transportmanagement- und Lagerverwaltungssysteme, und wenn die stehen, steht der Warenfluss.

Warum ist ISO 27001 in der Logistik zum Auftragskriterium geworden?

Weil Verlader und Auftraggeber ihre Dienstleister inzwischen prüfen, bevor sie ihnen ihre Ware und ihre Daten anvertrauen. Ein Ausfall beim Logistiker ist für den Kunden kein IT-Problem, sondern ein Lieferproblem, und Lieferprobleme haben in engen Ketten sofort Folgekosten.

Der Nachweis dafür ist standardisiert. Die ISO-Survey zählt weltweit 96.709 gültige Zertifikate nach ISO/IEC 27001, rund eine Verdopplung gegenüber dem Vorjahr, und seit dem 31. Oktober 2025 gilt allein die Fassung von 2022. Ihr Annex A stellt 93 Maßnahmen bereit, aus denen risikobasiert ausgewählt wird. Was Kunden abfragen, ist damit nicht mehr Verhandlungssache, sondern ein prüfbares Dokument.

Wen verpflichtet ISO 27001 in der Logistik, und wer fällt wirklich unter NIS2?

Hier lohnt eine genaue Unterscheidung, die in der Branche oft verschwimmt. Der Sektor Transport und Verkehr steht in Anlage 1 des BSIG, aber die dort benannten Einrichtungstypen sind Betreiber von Verkehrsinfrastruktur: Häfen, Eisenbahn- und Infrastrukturunternehmen, Luftverkehr, Betreiber intelligenter Verkehrssysteme. Klassische Speditions-, Umschlags- und Logistikdienstleistungen sind kein eigener Subsektor und damit in der Regel nicht unmittelbar erfasst.

Das heißt aber nicht, dass die Anforderungen ausbleiben. Sie kommen über zwei andere Wege. Erstens über § 30 BSIG: Betroffene Unternehmen müssen die Sicherheit ihrer Lieferkette gewährleisten und geben diese Pflicht vertraglich an ihre Dienstleister weiter. Zweitens über die eigene Größe, sobald ein Logistikunternehmen selbst einen erfassten Dienst betreibt, etwa einen Hafenbetrieb oder Schienenverkehr. Zur Orientierung: besonders wichtige Einrichtung ab 250 Beschäftigten oder mehr als 50 Millionen Euro Umsatz und 43 Millionen Euro Bilanzsumme, wichtige Einrichtung ab 50 Beschäftigten oder jeweils mehr als 10 Millionen Euro.

Für die meisten Speditionen ist die praktische Konsequenz deshalb dieselbe wie für regulierte Unternehmen, nur mit dem Kunden statt der Behörde als Gegenüber.

Welche Risiken adressiert ISO 27001 in der Logistik konkret?

Zeitkritikalität ist die Besonderheit. Andere Branchen verlieren bei einem Ausfall Umsatz, die Logistik verliert Slots, Anschlüsse und Vertragsstrafen. Es gibt keinen Puffer, in dem sich ein Vorfall in Ruhe abarbeiten lässt.

Dazu kommt die Tiefe der Kette. Der Verizon Data Breach Investigations Report 2025 stellt fest, dass an 30 Prozent der untersuchten Datenpannen ein Dritter beteiligt war, doppelt so viele wie im Jahr davor. In einer Branche, die mit Subunternehmern, Frachtführern und Zollagenten arbeitet und diese per Schnittstelle anbindet, ist das die zentrale Angriffsfläche. Missbrauchte Zugangsdaten stellen laut demselben Bericht 22 Prozent der Einstiegsvektoren. Die Bitkom-Studie „Wirtschaftsschutz 2025“ ordnet den Gesamtschaden mit 289,2 Milliarden Euro ein, 87 Prozent der Unternehmen waren betroffen, 59 Prozent sehen ihre Geschäftsexistenz bedroht. Für Logistiker stehen daher Zugriffskontrolle an Partnerschnittstellen, Absicherung von Telematik und Lagertechnik sowie belastbare Wiederanlaufpläne im Vordergrund.

Was leistet ISO 27001 in der Logistik zusätzlich für NIS2 und TISAX?

Ein Aufbau, mehrere Ergebnisse. Risikomanagement, Zugriffskontrolle, Lieferantensteuerung, Vorfallbehandlung und Betriebskontinuität verlangt jeder dieser Rahmen. Wer sie einmal ordentlich einführt, deckt große Teile der Anforderungen aus § 30 BSIG mit ab und hat die Basis, auf der ein TISAX-Assessment für die Automobillogistik aufsetzt.

Bei den dünnen Margen der Branche ist das der entscheidende Punkt: Getrennte Projekte für Kundenanforderung, NIS2-Nachweis und Notfallplanung kosten dreimal. Dass Sicherheit inzwischen als normaler Kostenblock gilt, zeigt die Budgetseite: Unternehmen stecken laut Bitkom 18 Prozent ihres IT-Budgets in Sicherheit, gegenüber 9 Prozent im Jahr 2022.

Wie lange dauert ISO 27001 in der Logistik bis zum Zertifikat?

Je nach Reife sind drei bis sechs Monate bis zum Audit realistisch. Das externe Audit läuft in zwei Stufen, Dokumentenprüfung und Wirksamkeitsprüfung, danach folgt das Zertifikat mit drei Jahren Gültigkeit und jährlichen Überwachungsaudits.

Die eigentliche Arbeit liegt im Zuschnitt des Geltungsbereichs. Transportmanagement- und Lagerverwaltungssysteme gehören hinein, ebenso die Partnerschnittstellen und die Technik im Lager, von Scannern über Staplerleitsysteme bis zur Telematik. Wer die Lagertechnik nachträglich anflanscht, zahlt die teuerste Korrekturschleife. Umgekehrt gilt: Ein Scope, der nur die Bürowelt umfasst, überzeugt im Kundenaudit nicht.

Was steht im Whitepaper?

• Warum die Logistik das Nervensystem der Wirtschaft ist und wie Auftraggeber heute prüfen
• Fünf Eigenheiten von Logistikunternehmen, von der Zeitkritikalität ohne Puffer bis zu tiefen Subunternehmer-Netzen
• Fünf Risikoszenarien aus der Praxis, jeweils mit den passenden Maßnahmen aus dem Annex A
• Was die Norm konkret verlangt, von Kontext und Geltungsbereich bis zu Bewertung und Verbesserung
• Eine Roadmap in sechs Schritten mit realistischer Zeitschätzung bis zum Zertifikat
• Wie ein Aufbau das Zertifikat und einen Großteil von NIS2 zugleich liefert, mit einem Praxisbeispiel

Das Whitepaper richtet sich an Geschäftsführungen, IT-Leitungen sowie Qualitäts- und Compliance-Verantwortliche bei Speditionen, Kontraktlogistikern, Hafen- und Terminalbetrieben und Transportunternehmen. Laden Sie es kostenfrei herunter.